Apple a récemment corrigé une faille zero-day dans macOS qui pouvait contourner les protections anti-malware du système d'exploitation. La recherche montre également qu'une variante du malware bien connu Shlayer exploite déjà la faille depuis plusieurs mois..
CVE-2021-30657 Présentation technique du Zero-Day
La vulnérabilité a été découverte par le chercheur en sécurité Cedric Owens, et a été suivi CVE-2021-30657. Comme l'explique Patrick Wardle à qui Owens a demandé de fournir une analyse plus approfondie, la vulnérabilité contourne de manière triviale de nombreux mécanismes de sécurité Apple de base, créer une grande menace pour les utilisateurs de Mac.
L'exploit a été testé sur macOS Catalina 10.15, et sur les versions Big Sur avant 11.3. Un rapport a été soumis à Apple en mars 25.
"Cette charge utile peut être utilisée pour le phishing et tout ce que la victime a à faire est de double-cliquer pour ouvrir le .dmg et de double-cliquer sur la fausse application à l'intérieur du .dmg - aucune fenêtre contextuelle ni aucun avertissement de macOS ne sont générés.,"Owens expliqué sur son blog Medium.
Quant à l’analyse plus approfondie de Wardle, il a révélé que le bogue CVE-2021-30657 pouvait contourner trois principales protections anti-malware dans macOS - File Quarantine, Portier, et notarisation. Il est à noter que la notarisation est la dernière fonctionnalité de sécurité des trois, introduit dans macOS Catalina (10.15). La fonctionnalité introduit la notarisation des applications qui devrait s'assurer qu'Apple a analysé et approuvé toutes les applications avant qu'elles ne soient autorisées à s'exécuter..
Triple menace Zero-Day
Peu dit, le zero-day est une triple menace qui permet aux logiciels malveillants de pénétrer librement dans le système. Pour ce faire, l'exploit déclenche un mouvement, un bogue logique dans le code sous-jacent de macOS de manière à ce qu'il caractérise mal certains bundles d'applications et ignore les contrôles de sécurité réguliers, selon l'explication de Wardle. Cela est possible en raison de la façon dont les applications macOS identifient les fichiers - en tant que bundles au lieu de fichiers différents. Les bundles contiennent une liste de propriétés qui indiquent à l'application les emplacements spécifiques des fichiers dont elle a besoin.
"Toute application basée sur un script qui ne contient pas de fichier Info.plist sera classée à tort comme" pas un bundle "et sera donc autorisée à s'exécuter sans alertes ni invites,”Wardle a ajouté.
Une analyse ultérieure fournie par la société Jamf a révélé que la vulnérabilité a déjà été utilisée dans des attaques réelles.
«Le malware Shlayer détecté permet à un attaquant de contourner Gatekeeper, Technologies de sécurité de notarisation et de mise en quarantaine de fichiers dans macOS. L'exploit permet à des logiciels non approuvés de s'exécuter sur Mac et est distribué via des sites Web compromis ou des résultats de moteurs de recherche empoisonnés.,»Les chercheurs de Jamf ont confirmé.
Attaques de logiciels malveillants Shlayer précédentes
La Logiciel malveillant Shlayer était auparavant connu pour désactiver Gatekeeper dans les attaques contre les utilisateurs de macOS. Shlayer est un des logiciels malveillants à plusieurs étages, capable d'acquérir des capacités d'élévation de privilèges. Il a été découvert pour la première fois en février 2018 par des chercheurs Intego.
Il est également à noter que Shlayer était auparavant distribué en campagnes de malvertising à grande échelle, dans lequel environ 1 millions de sessions utilisateurs ont été potentiellement exposées.
Pour prévenir les attaques, les utilisateurs doivent mettre à jour leurs systèmes macOS immédiatement.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: